Un pirate qui récupère le mot de passe d'un agent municipal pourrait parfois accéder à des dossiers administratifs sans rencontrer de véritable obstacle supplémentaire. C'est l'une des faiblesses découvertes par la CNIL lors de contrôles dans des collectivités françaises. Le 9 novembre, l'autorité a annoncé dix sanctions financières, allant de 3 000 à 20 000 euros. Derrière les services numériques de nos mairies se trouvent des informations particulièrement personnelles : actes d'état civil, coordonnées bancaires, inscriptions à la cantine, dossiers familiaux ou encore images de vidéoprotection. Ces données sont indispensables au fonctionnement des services publics, mais leur centralisation en fait aussi des cibles pour les cybercriminels.
En 2025, la CNIL avait justement fait de la cybersécurité des collectivités une priorité de contrôle. Ses inspections ont révélé des défaillances parfois élémentaires. Dans certaines administrations, les informaticiens pouvaient se connecter à distance sans double authentification. Autrement dit, aucun code supplémentaire n'était demandé après le mot de passe, même pour accéder aux comptes donnant les droits les plus étendus. Ailleurs, des prestataires privés conservaient un accès permanent aux réseaux municipaux, parfois au moyen d'identifiants partagés. Une pratique qui complique la surveillance : lorsqu'une opération suspecte se produit, il devient difficile de déterminer précisément qui en est responsable. Les enquêteurs ont également découvert des serveurs utilisant des logiciels trop anciens pour recevoir des correctifs de sécurité, ainsi que des réseaux insuffisamment cloisonnés. Dans ces conditions, un pirate qui compromet un premier ordinateur peut potentiellement atteindre d'autres services.
Plusieurs collectivités contrôlées avaient d'ailleurs déjà subi des violations de données. Selon la CNIL, certaines auraient pu être évitées avec des protections adaptées. Mais les sanctions portent aussi sur la préparation des projets numériques. Des communes avaient mis en service des portails scolaires manipulant les données d'enfants et de leurs familles sans réaliser l'analyse préalable des risques imposée par la réglementation. Des manquements comparables ont été relevés pour certains dispositifs de vidéoprotection. Les amendes restent relativement modestes, notamment parce qu'elles relèvent d'une procédure simplifiée plafonnée à 20 000 euros. Leur montant tient également compte de la gravité des manquements, des données concernées et des moyens financiers de chaque collectivité. Ces dix décisions ne signifient pas que toutes les communes françaises sont mal protégées. Elles montrent néanmoins que les défaillances de cybersécurité ne concernent pas uniquement les grandes entreprises. La CNIL poursuit ses contrôles, tandis que de nouvelles obligations européennes de sécurité informatique se préparent.
Source : CNIL
","author_name":"Choses à Savoir"}